Österrike: Begäran om förhandsavgörande framställd till EU-domstolen - Ersättning för immateriella skador enligt artikel 82 i dataskyddsförordningen 82 GDPR

I en nyligen meddelad dom den 15 april 2021 fann Österrikes högsta domstol (Oberste Gerichtshof, OGH) att behandling av uppgifter om den registrerades samhörighet med ett politiskt parti utgör en särskild kategori av personuppgifter. Detta gäller även om de berörda uppgifterna baseras på anonymiserade opinionsundersökningar och statistik.

Dessutom, genom begäran om förhandsavgörande i enlighet med art. 267 FEUF har OGH dessutom ställt grundläggande frågor avseende tolkningen av art. 82 GDPR till Europeiska unionens domstol (EU-domstolen). Mer specifikt sökte OGH klargörande om kraven för att utdöma skadestånd baserat på överträdelser av GDPR och bedömningen av denna kompensation enligt art. 82 GDPR.

Fakta i målet

De fakta som ligger till grund för detta mål har sitt ursprung i en separat rättslig tvist (6Ob35/21x).

• Svaranden sålde personuppgifter för tredje parts marknadsföringsändamål i egenskap av adressutgivare ("Adresshändler") enligt § 151 i den österrikiska handelslagen (Gewerbeordnung 1994, GewO);
• Den information som svaranden samlade in innehöll uppgifter om österrikiska medborgares partitillhörighet;
  Efter en begäran om tillgång (artikel 15 i GDPR) fick käranden veta att svaranden hade antagit att kärandens politiska tillhörighet låg hos det österrikiska frihetspartiet (FPÖ);
• Informationen om sökandens politiska tillhörighet erhölls genom användning av en algoritm för att definiera "målgruppsadresser" enligt sociodemografiska egenskaper;
• Käranden begärde, utan att ha lämnat samtycke till behandlingen och lagringen av uppgifterna
• Ett föreläggande för att förhindra svaranden från att behandla uppgifter om hans förmodade politiska åsikter;
• Ersättning om 1 000 euro för den ideella skada som orsakats till följd av den partitillhörighet som tilldelats honom, vilken han ansåg vara förolämpande, skamlig och kreditskadlig.

Begäran om förbudsföreläggande bifölls av Landesgericht für Zivilsachen i Wien, men skadeståndet avslogs på grund av att den erforderliga gränsen för ersättningsgill immateriell skada inte hade uppnåtts. Beslutet fastställdes av Oberlandesgericht (högre regional domstol). Beslutet överklagades av båda parter.

Rättsliga frågor

OGH:s dom fokuserade på 1) huruvida uppgifter om partiets affinitet till politiska partier utgör personuppgifter (artikel 4.1 i GDPR); 2) huruvida dessa uppgifter utgör en särskild kategori av personuppgifter (artikel 9 i GDPR); 3) huruvida svaranden måste avstå från att fortsätta att behandla kärandens uppgifter i framtiden; 4) huruvida behandlingen av uppgifter ger käranden rätt till ersättning (artikel 82 i GDPR).

Delvist avgörande av OGH

• Personuppgifter (artikel 4.1 i GDPR)
• Personuppgifter avser all information som rör identifierade eller identifierbara fysiska personer ("registrerade");
• En identifierbar fysisk person måste vara en person som kan identifieras, direkt eller indirekt, genom hänvisning till en särskild identitetsbeteckning;
• Personuppgifter ansågs innefatta uppgifter som erhållits genom subjektiva och/eller objektiva bedömningar (dvs. icke-personuppgifter, t.ex. opinionsundersökningar/statistik), eftersom de gjorde det möjligt att direkt koppla "affiniteten för ett politiskt parti" till en identifierad/identifierbar fysisk person;
• Giltigheten av den påstådda affiniteten är härmed irrelevant;
• Det faktum att informationen endast var ett uttryck för den berörda personens förmodade intresse för ett visst politiskt parti är också oväsentligt^[1].

Särskild kategori av personuppgifter (artikel 9 i GDPR)

• Begreppet "politisk åskådning" ska tolkas brett för att garantera en enhetlig och hög skyddsnivå;
• Varje risk för allvarlig diskriminering till följd av behandling av särskilda typer av uppgifter ska undermineras;
• Uppgifter om registrerades politiska preferenser ger upphov till potentiell diskriminering och måste därför anses omfattas av begreppet politisk åskådning i enlighet med artikel 9 i GDPR. 9 GDPR^[2].

Rättsmedel (artikel 79 i GDPR)

• Rätten till ett effektivt rättsmedel garanteras enligt art. 79 i GDPR om den registrerades rättigheter har kränkts till följd av att hans eller hennes personuppgifter har behandlats i strid med bestämmelserna i GDPR;
• I avsaknad av ett uttryckligt samtycke från den registrerade anses behandlingen av uppgifter om samhörighet med ett politiskt parti i sig vara olaglig enligt artikel 9.2 a;
• Det faktum att de relevanta uppgifterna hade raderats/inte publicerats, dvs. att behandlingen skedde internt men inte externt, är oväsentligt eftersom det inte undanröjer risken för att dessa uppgifter (åter)skapas i framtiden;
• Ett föreläggande ska upprätthållas om det finns en möjlighet att uppgifterna återskapas i framtiden.

Frågor som hänskjutits till EU-domstolen

Österrikes högsta domstol begärde ett förhandsavgörande från EU-domstolen enligt art. 267 FEUF om tolkningen och tillämpningen av det skadeståndsanspråk som regleras i art. 82 GDPR.

EU-domstolen ombeds särskilt att klargöra följande:

• Huruvida ett skadeståndsanspråk, utöver överträdelsen av en bestämmelse i GDPR, kräver att käranden har lidit specifik skada eller om överträdelsen är tillräcklig för att kvalificera sig för skadeståndet;
• Huruvida ytterligare krav i EU-rätten, utöver principerna om effektivitet och likvärdighet, måste beaktas av nationella domstolar vid bedömningen av skadestånd;
• Huruvida tröskeln för ideellt skadestånd kräver att överträdelsen har konsekvenser av en viss grad eller vikt som sträcker sig utöver ilska eller irritation som orsakats av överträdelsen.

Även om talan typiskt sett väcks genom massanspråk, har varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av en bestämmelse i GDPR rätt att väcka talan enligt artikel 82 i GDPR. 82 GDPR.

Företag rekommenderas att noga följa pressrapporter om dataförluster och tidigt identifiera indikatorer på dataskyddsöverträdelser för att möjliggöra en snabb översyn av brister i befintliga dataskyddsbestämmelser. Vidare vore det fördelaktigt att säkerställa att dokumentationen och de interna processerna är i linje med GDPR:s principer och implementeringskrav. I detta syfte har en genomgång av tidigare beslut avseende art. 82 GDPR på både nationell nivå och EU-nivå vara till stor hjälp. Det är uppenbart att en viktig grund har lagts genom OGH:s hänskjutande av prejudiciella frågor till EU-domstolen, vilket kan möjliggöra en enhetlig tolkning av dataskyddslagstiftningen i fråga om skadestånd.

Resurser

1. Se även 6Ob127 / 20z (OGH); W258 2217446-1 (BVwG).
2. Se även W258 2217446-1 (BVwG).

Innehållet i denna artikel är avsett att ge en allmän vägledning i ämnet. Specialistrådgivning bör sökas om dina specifika omständigheter.